PraisonAIAgents में बिना मान्य URLs के SSRF और लोकल फ़ाइल रीड वेब_क्रॉल टूल के माध्यम से मौजूद है

यह SSRF भेद्यता PraisonAIAgents उपयोगकर्ताओं के लिए महत्वपूर्ण जोखिम पैदा करती है। एक हमलावर इस भेद्यता का उपयोग आंतरिक सेवाओं, जैसे कि क्लाउड मेटाडेटा एंडपॉइंट्स या डेटाबेस को उजागर करने के लिए कर सकता है। वे स्थानीय फ़ाइलों को भी पुनः प्राप्त कर सकते हैं, जिसमें कॉन्फ़िगरेशन फ़ाइलें या संवेदनशील डेटा शामिल हो सकते हैं। इस भेद्यता का उपयोग नेटवर्क पर आगे बढ़ने और अन्य प्रणालियों को लक्षित करने के लिए भी किया जा सकता है। यह भेद्यता विशेष रूप से चिंताजनक है क्योंकि AI एजेंटों के माध्यम से URL को पुनः प्राप्त करने की क्षमता हमलावर के लिए पहचान से बचना आसान बनाती है।

Organizations utilizing PraisonAIAgents in environments with sensitive internal resources or cloud metadata endpoints are particularly at risk. Shared hosting environments where multiple users share the same PraisonAIAgents instance could also be vulnerable, as a compromised agent could potentially access data belonging to other users.

• linux / server: Monitor PraisonAIAgents logs for requests containing file:// URLs. Use journalctl -u praisonaiagents to filter for relevant entries.

journalctl -u praisonaiagents | grep 'file://'

• python / supply-chain: Inspect the praisonaiagents/tools/webcrawltools.py file for the web_crawl() function and confirm that URL validation is implemented.

def web_crawl(url):
    # Ensure proper URL validation is present here
    if not is_valid_url(url):
        raise ValueError("Invalid URL")
    # ... rest of the function

• generic web: Monitor web server access logs for requests originating from the PraisonAIAgents process attempting to access local files via file:// URLs.

1. 2026-04-09Disclosure

   disclosure

1. आरक्षित2026-04-09
2. प्रकाशित2026-04-09
3. संशोधित2026-04-14
4. EPSS अद्यतन2026-04-17

CVE-2026-40150 के प्रभाव को कम करने के लिए, PraisonAIAgents को तुरंत संस्करण 1.5.128 में अपडेट करना महत्वपूर्ण है। यदि अपग्रेड संभव नहीं है, तो एक अस्थायी समाधान के रूप में, आप वेब एप्लिकेशन फ़ायरवॉल (WAF) का उपयोग करके बाहरी URL तक एजेंटों की पहुंच को सीमित कर सकते हैं। आप URL सत्यापन और अनुमति सूची को लागू करके भी जोखिम को कम कर सकते हैं। एजेंटों को केवल विश्वसनीय स्रोतों से डेटा तक पहुंचने की अनुमति दें। PraisonAIAgents के नवीनतम संस्करण में अपग्रेड करने के बाद, यह सुनिश्चित करने के लिए कि भेद्यता ठीक हो गई है, वेब क्रॉलिंग फ़ंक्शन का परीक्षण करें।